リファレンス
ヘルパー
リサーチ、監査、品質、オーケストレーション向けの永続的なヘルパーエージェント。frontmatter 契約とデプロイ隔離プロトコルを備えます。
永続的なヘルパーは、正規のヘルパーディレクトリ配下に、<name>.md というサフィックスを持つ
フラットファイルとして置かれます。正規のパスは次のとおりです。
src/apothem/agents/各ヘルパーは、リサーチ、監査、品質、リファクタリング、スキャフォールディングなどの、 焦点を絞った役割であり、それぞれ独自のツール制限とシステムプロンプトを持ちます。
以下の表とパス一覧は、ヘルパーのうち 4 つを示しています。このページの末尾にある生成された インベントリが、すべてのヘルパー定義を一覧表示します。
| ヘルパー | ファイル | パターン | モデルポリシー |
|---|---|---|---|
| Codebase Explorer | 下記のマニフェストパスを参照 | リサーチ | ホストが選択 |
| Convention Auditor | 下記のマニフェストパスを参照 | 監査 | ホストが選択 |
| Quality Gate | 下記のマニフェストパスを参照 | 品質 | ホストが選択 |
| Memory Auditor | 下記のマニフェストパスを参照 | 監査 | ホストが選択 |
正規のマニフェストパス:
src/apothem/agents/codebase-explorer.md
src/apothem/agents/convention-auditor.md
src/apothem/agents/quality-gate.md
src/apothem/agents/memory-auditor.mdFrontmatter 契約
---
name: <agent name>
version: <semver>
updated: <YYYY-MM-DD>
description: <one-line role>
tools: <comma-separated tool list>
disallowedTools: <comma-separated deny list>
maxTurns: <integer>
---tools は省略可能です。これを省略したヘルパーは、接続済みの MCP ツールを含め、セッションが持つすべての
ツールを継承し、その制限は disallowedTools が担います。同梱の 14 個のヘルパーはすべて tools を
列挙しています。
接続済みの MCP サーバー
tools を列挙したヘルパーは、列挙したものしか呼び出せません。Claude Code が MCP ツールをその一覧に
認めるのは、エントリが mcp__<server>__* のようにサーバーを名指ししている場合だけです。素の mcp__* は
disallowedTools のエントリとしてのみ文書化されており、それ以外の場所では文書化されていません。
サーバー名はそれを接続した人のものなので、同梱のヘルパーがそれを名指しすることはできません。
citation-auditor と research-scout は学術的なソースを調べます。どちらも
tools: Read, Glob, Grep, WebSearch, WebFetch を同梱し、ファイルを書き込む、コマンドを実行する、
他のヘルパーを起動する、または公開するツールを拒否します: Write、Edit、
MultiEdit、NotebookEdit、Bash、PowerShell、Monitor、Agent、
Artifact、およびタスクリストのツールです。プロファイルの設定がなければ、どちらも MCP ツールには
到達せず、どちらも Web 検索と Web 取得を通じてソースを調べます。
どちらかに接続済みの学術インデックスを与えるには、エージェント名をサーバー名に対応付けるプロファイルの
agent_mcp_servers キーにサーバーを名指ししてください。すると Claude Code のエンジンインストール
（apothem install）は、名指しされたサーバーごとに 1 つの mcp__<server>__* エントリをそのエージェントの
tools 行に追加し、他のエージェントは変更しません。Gemini CLI のインストールも同様に、文字、数字、- から
なるサーバー名について、サーバーごとに 1 つの mcp_<server>_* エントリをエージェントの tools 許可リストに
追加します。どちらでも、エージェント自身の disallowedTools が名指しするサーバーは拒否されたままです。
エントリはそのサーバーのすべてのツールを、書き込むものも含めて認めるため、検索・参照用として信頼できる
サーバーだけを名指ししてください。ヘルパーの指示は、それらを検索、参照、読み取り、検証、解決の呼び出しに
限定していますが、ハーネスが強制するのは tools 行が列挙する名前だけです。存在しないエージェント、
または明示的な tools 行を持たないエージェントに対する名前は、報告されてスキップされます。
Claude Code と Gemini CLI 以外のハーネスは、このキーを無視します。Claude Code プラグインのツリーは
プロファイルなしで組み立てられ、素の一覧を保持するため、プラグインのユーザーは代わりに
~/.claude/agents/ 配下にユーザーレベルのエージェントを定義します。プロファイルの構文、サーバー名の規則、
その回避策は
ヘルパーに MCP サーバーへのアクセスを与える
にあります。
ハーネスごとの変換
disallowedTools を適用した後の tools の付与に、ファイル編集ツール
（Write、Edit、MultiEdit、NotebookEdit）が 1 つも含まれないヘルパーは、読み取り専用です。
tools の付与を持たないヘルパーは、disallowedTools が少なくとも Write と Edit を拒否している場合に
読み取り専用です。ヘルパーを変換する各ハーネスは、その制限をネイティブに強制するか、
ヘルパーの指示の中でそれを述べるか、読み取り専用のラベルを外すかのいずれかを行います。
| ハーネス | ツール制限 | ターン制限 | モデルとエフォート |
|---|---|---|---|
| Claude Code | tools / disallowedTools を記述どおりに使用し、加えて、プロファイルの agent_mcp_servers キーが列挙済みの tools 行に追加する mcp__<server>__* エントリ。tools がない場合は、MCP を含むすべてのツールが継承される | maxTurns | 継承（設定しない） |
| Codex | 出力しない。ヘルパーの指示がそれを述べ、書き込みは親セッションのサンドボックスが管理する | 利用不可 | 継承（設定しない） |
| Gemini CLI | Gemini のツール名による tools 許可リストに加えて、プロファイルの agent_mcp_servers キーが列挙済みの明示的な一覧に追加する mcp_<server>_* エントリ。tools がない場合は、拒否から導かれる許可リストに mcp_* を加えたもの | max_turns | 継承（設定しない） |
| Qwen Code | Qwen のツール名による tools / disallowedTools。tools がない場合は一覧が出力されないため、MCP ツールは継承され、拒否が適用される | マッピングなし | model: inherit |
| OpenCode | permission（ツールごとに allow / deny）。MCP ツールは制限されない | マッピングなし | 継承（設定しない） |
| Antigravity | 出力しない。説明から「読み取り専用」が除かれる | 利用不可 | 継承（設定しない） |
| CodeBuddy | カンマ区切りの文字列としての tools / disallowedTools。CodeBuddy が文書化しているツール名に限定される。MCP エントリはなし | maxTurns | 継承（設定しない） |
| Trae | カンマ区切りの文字列としての tools / disallowedTools。Trae が文書化しているツール名に限定される。MCP エントリはなし | 利用不可 | 継承（設定しない） |
| GitHub Copilot | Copilot のエイリアス（read、search、edit、execute、web、agent、todo）による tools 許可リストで、Copilot には拒否キーがないため拒否が織り込まれる。拒否されたツールを含むエイリアスは除外される。MCP エントリはなし | 利用不可 | 継承（設定しない） |
| Cursor | ツール一覧なし（Cursor には存在しない）。Bash を持たない 5 つの読み取り専用ヘルパーには readonly: true、それ以外の読み取り専用ヘルパーは「読み取り専用」のラベルが外される | 利用不可 | 継承（設定しない） |
| Kimi Code | Kimi Code のツール名のリストとしての tools / disallowedTools（WebFetch は FetchURL に、TodoWrite は TodoList になる。Kimi Code に対応するツールがない名前は除外される）。MCP エントリはなし | 利用不可 | 継承（設定しない） |
| Kiro | Kiro のツールカテゴリ（read、write、shell、web、subagent）による tools 許可リストで、書き込まれる制限はこの一覧だけなので拒否が織り込まれる。拒否されたツールを含むカテゴリは除外される。MCP エントリはなし | 利用不可 | 継承（設定しない） |
| Windsurf | Devin のツール名（read、edit、grep、glob、exec、write）による allowed-tools 許可リストで、Devin には拒否キーがないため拒否が織り込まれる。Web ツールを必要とする 3 つのヘルパーはインストールされない。MCP エントリはなし | 利用不可 | Devin のデフォルトのサブエージェントモデル（設定しない） |
Hermes と Open-Claw は、ヘルパーファイルをネイティブなヘルパーとしてではなく、 サポート素材として受け取ります。
オーケストレーション
ヘルパーのデプロイ、並列起動プロトコル、返却契約の強制、隔離規律は、 オーケストレーションルールに置かれています。ワーカーごとのディスパッチツリーは、 オーケストレーションパターンルールの §Decision Tree に置かれています。正規のパス:
src/apothem/rules/agent-orchestration.md
src/apothem/rules/agent-orchestration-patterns.md生成されたエージェントインベントリ
| Name | Description | Source |
|---|---|---|
README | Persistent agent definitions — the reusable sub-agent specifications the harness materializes whenever the orchestrator deploys a research, audit, or quality team. Each agent is a | src/apothem/agents/README.md |
citation-auditor | Read-only citation audit — checks that each reference in a bibliography or cited passage exists, matches its record, and that the opened source states what the text attributes to it. Use when a draft cites sources: 'check my references', 'are these DOIs real', 'does this paper say what I cite it for'. Finding new sources routes to research-scout; a free-standing claim routes to fact-checker. | src/apothem/agents/citation-auditor.md |
codebase-explorer | Read-only codebase exploration — exhaustively find every instance of a pattern, trace call/import dependencies, discover host conventions, map architecture and layering. Use when the query is 'where is X used', 'find all callers of Y', 'what convention does this repo follow for Z', 'map the module structure', or 'trace what depends on this file' — never for edits or design, and never for review verdicts (architecture-review, code-audit). Works through Grep / Glob / Read plus read-only Bash and returns evidence-cited findings (path + line + snippet) exhaustive within the declared scope; reports gaps rather than guessing. | src/apothem/agents/codebase-explorer.md |
convention-auditor | Read-only conventions auditor: verify naming (kebab-case files, snake_case Python, frontmatter keys), cross-reference resolution (dead rule/skill/agent paths, broken anchors, half-edge bindings), formatting standards (SPDX header presence, frontmatter contract), and ecosystem coherence (orphan artifacts, sibling-convention drift, registry gaps). Dispatch when a change touches multiple rules/skills/agents/commands and you need a binary PASS/FINDING verdict per instance with file+line+expected+actual evidence — e.g. 'audit naming across the harness adapters', 'check every new rule resolves its Bindings cross-refs', 'verify the skills cohort matches the kebab-case + SKILL.md convention'. Read-only: never fixes, never runs shell. A whole-tree sweep, or any fix, is the ecosystem-audit skill. Conventions are owned upstream and verified against, never re-derived; every finding cites severity + evidence. | src/apothem/agents/convention-auditor.md |
dependency-auditor | Read-only dependency-tree risk audit — flags unpinned, stale, duplicate, and known-vulnerable dependencies with manifest/lockfile evidence. Dispatch within a dependency audit, before a release cut, or after adding a dependency; one named CVE or advisory routes to the vuln-triage skill, and a signing or provenance review to the supply-chain-audit command. Detects the ecosystem via host-discovery: npm (package.json + package-lock/yarn/pnpm), pip (pyproject/requirements + lock), cargo (Cargo.toml + Cargo.lock), go (go.mod + go.sum). Runs npm audit / pip-audit / cargo audit / govulncheck and returns a risk-ranked table (known-vulnerable → unpinned → duplicate → stale) with per-row evidence; never widens a pin or escalates a scope — gaps surface as inquiry. | src/apothem/agents/dependency-auditor.md |
design-critic | Read-only UI critique. Use for a design review, a usability or accessibility check, or 'what is wrong with this screen' before a UI ships. A WCAG sweep across a whole web surface routes to the a11y-audit command; a CLI or install-flow review to ux-review. Reviews code, screenshots, or a running page and returns fixes ranked by user impact, from a scored heuristic review and separately measured evidence. Opens with a degraded notice when measurement tooling is missing; never guesses a measurement. | src/apothem/agents/design-critic.md |
fact-checker | Read-only adversarial claim verification — decompose input into atomic claims, seek ≥2 independent sources, attempt refutation, assign cited verdicts (supported / refuted / unverifiable) with quoted evidence and confidence. Use when a claim needs proof before it ships: a benchmark or statistic in docs/copy, a 'X is faster/safer than Y' assertion, a citation that names an RFC or spec, a release note, or any factual claim a reviewer would challenge. Routes external claims through WebSearch / WebFetch and repository claims through Read / Glob / Grep; defaults to refuted-or-unverifiable when evidence is insufficient, never a charitable supported. | src/apothem/agents/fact-checker.md |
mcp-builder | Scaffold a Model Context Protocol (MCP) server skeleton from a tool/resource contract — contract-first, well-typed tools, minimal surface. Use when: 'build an MCP server for <API>', 'scaffold MCP tools from this spec', 'wire FastMCP/TypeScript-SDK tool definitions', 'add a tool that exposes <resource> over MCP'. Detection: tool names + argument shapes + return types + resource URIs are stated or derivable. Selects the SDK via host-discovery (FastMCP for Python, the TypeScript SDK for Node), emits one typed tool definition per contract entry plus a list-tools smoke test, and scaffolds nothing speculative. Not for: tuning, securing, or load-testing an existing server (those surface as adjacent gaps). | src/apothem/agents/mcp-builder.md |
memory-auditor | Read-only memory-file auditor: cross-reference every claim in the harness memory tier (MEMORY.md index + topic files under <harness-root>/projects/{hash}/memory/ and <harness-root>/memory/) against actual filesystem state — file/line/rule counts (glob and count), referenced paths (do they exist?), rule scope labels (match pathFilter frontmatter?), dates (against frontmatter updated: or mtime, never the system clock), and cross-reference matrices. Dispatch when MEMORY.md or a topic file may have drifted from reality and you need a per-claim PASS/FAIL verdict with contradicting evidence — e.g. 'audit MEMORY.md after the rules cohort was renamed', 'verify the memory index counts match the current ecosystem', 'check the debugging topic file for stale references to deleted artifacts'. Existence + name match only; never re-audit an artifact's internal correctness (convention-auditor's scope). Read-only: never writes, never fixes. | src/apothem/agents/memory-auditor.md |
prompt-evaluator | Read-only rubric scoring of a prompt's output set — score each output against each named criterion (PASS/FAIL with cited evidence), aggregate per-criterion pass-rate, flag regressions against a baseline, and name recurring failure modes. Use when prompt or model outputs need a reproducible verdict before they ship: comparing a reprompted variant against the prior version, gating a system-prompt change, judging an LLM-as-judge eval set, scoring few-shot outputs against acceptance criteria, or proving a quality claim a reviewer would challenge. Scores outputs that already exist: building the dataset, scorer or runner routes to the eval-harness skill, and a full campaign to the eval command. Requires an explicit rubric — an absent or underspecified rubric blocks scoring and routes as inquiry; never invents a criterion or threshold, never scores charitably. | src/apothem/agents/prompt-evaluator.md |
quality-gate | Read-only quality-gate runner — discovers the host's lint / type-check / test / security / build commands, runs them in the correct order (build → type-check → tests+lint+security in parallel), and returns a per-gate PASS/FAIL verdict with file+line+error evidence. Reports, never fixes. Dispatch as a Quality team before a release cut, after a multi-file change, or to confirm a fix is green — e.g. 'run the full quality matrix and tell me what fails', 'gate this branch before I push', 'is the test suite green and the types clean?'. Runs the whole matrix; tests alone route to test-runner. Detects tooling via host-discovery (ruff/eslint/markdownlint, mypy/tsc/pyright, pytest/jest/cargo test/go test, bandit/npm audit/gitleaks); never assumes a stack. | src/apothem/agents/quality-gate.md |
refactor-surgeon | Scoped, behavior-preserving refactor of a named target — extract the behavioral contract, re-derive clean-room (never edit in place), name the one deficiency removed, verify regression via the host's own tests. Dispatch as a delegated team member on a single named target with a clear refactor intent; a user-driven interactive extraction is the refactor-extract skill — e.g. 'consolidate the duplicated validation in the CLI's install module', 'untangle the nested conditionals in the config renderer without changing output', 'rename the god-object methods in the adapter class to reveal intent'. Touches only the named target; adjacent gaps surface as findings, never as edits. Behavior, contracts, and side effects are identical before and after; a behavior change is a defect. | src/apothem/agents/refactor-surgeon.md |
research-scout | Read-only source discovery and ranking — decompose a research question into facets, fan out parallel web queries, rank candidates by authority, recency, and relevance, and return a deduplicated ranked source list. Use when a question needs sources before it can be answered: 'find the authoritative spec/RFC for X', 'what are the primary sources on Y', 'gather current references for a docs/copy claim', 'survey the landscape before a deep dive'. Fans external facets through any scholarly index server the operator has granted it, WebSearch, and WebFetch, and any in-repo corpus through Read / Glob / Grep. Also looks up papers and preprints by DOI, arXiv id, or topic ('find the paper behind this DOI'), and scouts existing open-source projects before anything new is built ('is there already a library for this', 'adopt or fork'). Discovery and ranking only — never fabricates a URL, never synthesizes; a written cited report routes to the multi-source-research skill, claim verification to fact-checker, and combining given documents to source-synthesis. | src/apothem/agents/research-scout.md |
security-scanner | Read-only secret, SAST-pattern, and config-risk sweep — a coarse first-pass that surfaces candidates fast and routes deep scanning to the host's CI scanners. Dispatch inside a security audit, after touching auth/crypto/IO surfaces, or when a secret may have been committed; a full repository security audit routes to the security-audit command. Greps for credential literals (key/token/password/private-key/certificate, committed .env values), injection surfaces (shell=True on untrusted input, string-formatted SQL, command interpolation), unsafe-eval (eval/exec/Invoke-Expression), unsafe deserialization (pickle.loads, yaml.load without SafeLoader), and config risk (over-broad CI permissions:, unpinned Actions uses:, network egress). Routes known-vulnerable dependencies to the dependency-auditor agent, CVE/advisory triage to the vuln-triage skill, and leaked-credential rotation to the secret-rotation skill. | src/apothem/agents/security-scanner.md |
test-runner | Read-only test-suite runner — discovers the host's test command, runs it, and triages every failure by root cause with test+file+line+assertion evidence. Reports, never fixes. Dispatch as a Research/Quality team member after a code change, before a release cut, or to confirm a fix is green — e.g. 'run the tests and tell me what's failing and why', 'is the suite green on this branch?', 'triage the failures in the auth module'. Tests only: lint, type and security gates route to quality-gate. Detects the runner via host-discovery (pytest/jest/cargo test/go test/Makefile target from the manifest + CI config); never assumes pytest. | src/apothem/agents/test-runner.md |